Apache Airflowにおいて、LogTemplateテーブル経由でWebサーバーコンテキストでコードインジェクションの脆弱性

この脆弱性は、Apache AirflowのDAG作成者が、通常アクセスできないWebサーバーコンテキストで任意のコードを実行することを可能にします。攻撃者は、ログテンプレート履歴を操作することで、Webサーバーのプロセスにコードを注入し、システムへの完全なアクセス権を得る可能性があります。この脆弱性は、機密情報の漏洩、システムの改ざん、さらにはシステム全体の制御喪失につながる可能性があります。この脆弱性は、Airflowのログ履歴機能を利用している環境において、特に深刻な影響を及ぼす可能性があります。

Organizations utilizing Apache Airflow versions 2.9.3rc1 and earlier, particularly those with DAG Authors who have extensive permissions, are at significant risk. Shared hosting environments where multiple users have DAG Author roles should be especially vigilant, as a compromised account could impact the entire infrastructure. Environments relying on legacy configurations or custom log template history implementations are also more vulnerable.

• python / airflow:

import airflow
# Check Airflow version
print(airflow.__version__)
# Monitor database logs for suspicious queries related to log template history

• linux / server:

# Check Airflow process for unusual activity
ps aux | grep airflow
# Monitor Airflow logs for errors or suspicious entries
journalctl -u airflow -f

1. 2026-02-24Disclosure

   disclosure

1. 予約済み2024-12-22
2. 公開日2026-02-24
3. 更新日2026-03-02
4. EPSS 更新日2026-03-23

この脆弱性への主な対策は、Apache Airflowをバージョン2.11.1以降にアップグレードすることです。このバージョンでは、脆弱なログテンプレート履歴機能がデフォルトで無効になっています。アップグレードが困難な場合は、ログテンプレート履歴機能を手動で無効にするか、ログファイル名を変更することで、脆弱性を軽減できます。WAFやIPSなどのセキュリティ対策を導入することで、攻撃の検知と防御を強化することも可能です。アップグレード後、Airflowのログ履歴機能が正常に動作することを確認してください。